Informacja o przetwarzaniu danych (RODO)

1. Role

KoneV Software Sp. z o.o. z siedzibą w Polsce (dane rejestrowe uzupełnimy po zakończeniu rejestracji) występuje w jednej z dwóch ról. Mylenie ich zmienia podstawę prawną i adresata żądania, dlatego rozdzielamy je na początku.

• Administrator. Przy serwisie konev.eu, skrzynce pocztowej spółki, ofercie, umowie z kontrahentem i rozliczeniach. Obowiązki informacyjne realizuje ta strona oraz polityka prywatności. Żądania praw kieruje się do KoneV.
• Podmiot przetwarzający. Gdy klient poleca KoneV przetwarzać dane osobowe znajdujące się w jego repozytorium, logach CI, fixture, tickecie albo systemie objętym adapterem. Administratorem zostaje klient. Żądanie osoby, której dane dotyczą, co do zasady kieruje się do klienta. KoneV pomaga klientowi w granicach umowy powierzenia (art. 28 RODO).

Nie jesteśmy współadministratorami z klientem, chyba że umowa wprost tak stanowi. Na dziś takiej umowy nie stosujemy jako wzorca domyślnego. Inspektora ochrony danych nie powołaliśmy. Kontakt w obu rolach, w zakresie spraw należących do KoneV: adres korespondencji.

2. Klauzula dla osób odwiedzających serwis (art. 13)

Ta klauzula dotyczy osoby, która otwiera stronę konev.eu i nie wysyła wiadomości.

• Administrator i kontakt: jak w pkt 1. Inspektor ochrony danych: nie został powołany.
• Cel i podstawa: bezpieczeństwo i ciągłość serwisu, diagnostyka nadużyć. Art. 6 ust. 1 lit. f RODO. Prawnie uzasadnionym interesem jest ochrona serwisu i możliwość wyjaśnienia incydentu.
• Dane: adres IP, data i godzina żądania, żądany URL, kod odpowiedzi, user agent. Dane powstają w logu hostingu. Nie zakładamy konta i nie łączymy wizyty z imieniem.
• Odbiorcy: dostawca hostingu, jako podmiot przetwarzający. Organ publiczny, jeśli przepis nakaże udostępnienie logu.
• Państwa trzecie: według pkt 7 polityki prywatności. Jeśli przekazanie poza EOG wystąpi, podstawą będzie rozdział V RODO.
• Okres: konfiguracja hostingu, zwykle nie dłużej niż kilka miesięcy, dłużej tylko przy incydencie.
• Prawa: dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw, skarga do Prezesa UODO. Prawo przenoszenia nie znajduje zastosowania, bo log nie jest przetwarzany na podstawie umowy ani zgody w sposób, o którym mowa w art. 20 RODO.
• Dobrowolność: wejście na stronę jest dobrowolne. Log powstaje jako skutek żądania HTTP. Brak podania imienia nie blokuje odczytu treści.
• Decyzje zautomatyzowane: nie stosujemy, w tym nie profilujemy odwiedzających.

Cookies marketingowych i analitycznych nie zapisujemy. Banera zgody nie wyświetlamy. Szerszy opis jest w polityce prywatności.

3. Klauzula dla korespondencji i kontrahentów (art. 13)

Ta klauzula dotyczy osoby, która pisze do KoneV, oraz osoby wskazanej w umowie jako kontakt po stronie kontrahenta, gdy dane dostajemy od niej samej.

• Cele: odpowiedź na zapytanie, przygotowanie oferty, zawarcie i wykonanie umowy, obowiązki rachunkowe i podatkowe, ustalenie, dochodzenie i obrona roszczeń, bezpieczeństwo skrzynki.
• Podstawy: art. 6 ust. 1 lit. b RODO (umowa albo działania przedumowne na żądanie), art. 6 ust. 1 lit. c RODO (obowiązek prawny), art. 6 ust. 1 lit. f RODO (korespondencja z osobą działającą dla firmy, dowód ustaleń, roszczenia, bezpieczeństwo skrzynki).
• Dane: adres e-mail, treść, załączniki, dane, które osoba sama wpisze (imię, nazwisko, telefon, firma, rola). Nie wymagamy kopii dokumentu tożsamości do zwykłej odpowiedzi na zapytanie ofertowe.
• Odbiorcy: dostawca poczty, a gdy sprawa tego wymaga: biuro rachunkowe, doradca prawny, organ publiczny. Lista kategorii jest w polityce prywatności.
• Okres: czas sprawy, następnie okres przedawnienia roszczeń związanych z działalnością gospodarczą (co do zasady 3 lata, z końcem roku kalendarzowego, art. 118 Kodeksu cywilnego). Dokumenty księgowe i podatkowe: co do zasady 5 lat według ustawy o rachunkowości i art. 70 Ordynacji podatkowej.
• Prawa: jak w pkt 8 tej strony, w tym sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie.
• Skutek niepodania danych: bez adresu zwrotnego nie odpowiemy. Bez danych do faktury nie rozliczymy umowy. Odwiedziny serwisu tego nie wymagają.
• Marketing: nie prowadzimy newslettera. Adres z zapytania nie trafia na listę wysyłkową.
• Decyzje zautomatyzowane: brak, w rozumieniu art. 22 RODO.

W pierwszej wiadomości nie przesyłaj haseł, kluczy API, tokenów CI ani zrzutów baz. Do opisu zakresu wystarczy runtime, system CI i rodzaj artefaktu. To ogranicza dane, które w ogóle powstaną po naszej stronie (art. 5 ust. 1 lit. c RODO).

4. Klauzula, gdy dane pochodzą od klienta (art. 14)

Ta klauzula dotyczy osoby, której danych KoneV nie dostał od niej samej, tylko od klienta (administratora), na przykład adresu e-mail w historii commitów, identyfikatora konta w CI albo danych testowych wgranego przez klienta. Stosujemy ją, gdy w danym przetwarzaniu KoneV jest administratorem. Gdy jesteśmy wyłącznie procesorem, obowiązek informacyjny wobec tej osoby spoczywa na kliencie. Poniższe informacje klient może wykorzystać, informując własne osoby.

• Kategorie danych: służbowy adres e-mail, imię i nazwisko w metadanych repozytorium lub ticketa, identyfikator konta technicznego, adres IP w logu joba, inne dane, które klient umieścił w przekazanym materiale.
• Źródło: klient KoneV albo system klienta (repozytorium, CI, kolejka zgłoszeń), z którego klient polecił odczyt.
• Cel i podstawa po stronie KoneV-administratora: wykonanie umowy z klientem (art. 6 ust. 1 lit. b RODO względem klienta nie zastępuje podstawy wobec osoby trzeciej). Wobec osoby, której dane dotyczą, podstawą jest prawnie uzasadniony interes klienta i KoneV polegający na realizacji uzgodnionego przebiegu technicznego (art. 6 ust. 1 lit. f RODO), chyba że przepis albo umowa wskaże inną podstawę. Osobie przysługuje sprzeciw.
• Cel po stronie KoneV-procesora: wyłącznie udokumentowane polecenie klienta. Podstawę wobec osoby wskazuje klient.
• Okres: czas potrzebny do wykonania polecenia albo umowy, a następnie okres z pkt 3, jeśli dane weszły do korespondencji lub dokumentacji roszczeniowej. Fixture syntetyczny nie zawiera danych tej osoby i nie wydłuża okresu.

Informacji z art. 14 nie powtarzamy osobie, jeśli klient już jej ich udzielił, albo jeśli udzielenie ich okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku, w szczególności przy danych rozsianych w historii technicznej, a klient jako administrator spełnił własny obowiązek (art. 14 ust. 5 RODO). Nie traktujemy tego wyjątku jako domyślnego pominięcia. Przy nowym powierzeniu ustalamy z klientem, kto wysyła klauzulę.

5. Powierzenie przetwarzania

Usługi KoneV (generator skryptów, job CI, test, adapter) co do zasady pracują na artefaktach technicznych. Dane osobowe pojawiają się, gdy klient przekaże repozytorium, log, ticket albo fixture, w których takie dane już są, albo gdy poleci podłączenie środowiska, które je zawiera.

Przed przekazaniem danych osobowych strony zawierają umowę powierzenia zgodną z art. 28 RODO. Do tego momentu przebieg idzie na danych syntetycznych. Umowa powierzenia określa w szczególności:

• przedmiot, czas, charakter i cel przetwarzania oraz kategorie danych i kategorii osób,
• obowiązek przetwarzania wyłącznie na udokumentowane polecenie administratora, w tym w sprawie przekazań do państwa trzeciego,
• poufność osób upoważnionych,
• środki z art. 32 RODO,
• warunki korzystania z dalszych podmiotów przetwarzających,
• pomoc administratorowi w realizacji praw osób oraz w obowiązkach z art. 32-36 RODO,
• usunięcie albo zwrot danych po zakończeniu świadczenia, według wyboru administratora, oraz usunięcie kopii, chyba że przepis nakazuje przechowanie,
• udostępnienie informacji potrzebnych do wykazania zgodności i umożliwienie audytu na warunkach umowy.

Dalszy podmiot przetwarzający (na przykład hosting środowiska uzgodnionego z klientem) wchodzi na warunkach art. 28 ust. 2 i 4 RODO: za zgodą administratora, z umową nakładającą te same obowiązki. Lista dalszych podmiotów jest załącznikiem umowy powierzenia, nie niniejszej strony, ponieważ zależy od środowiska klienta.

KoneV nie wykorzystuje danych powierzonych do trenowania modeli ani do celów innych niż polecenie. Szkic skryptu albo testu powstaje z opisu zadania i z artefaktów, które klient wskazał. Nie zasilamy nim zbioru uczącego.

6. Kategorie danych w typowym powierzeniu

Jeżeli realizacja testu naprawdę wymaga kształtu danych osobowych, kształt jest sztuczny. Dane realne wymagają osobnej decyzji administratora, wpisania ich w umowie powierzenia i środka, który nie polega na „wrzuceniu produkcji do fixture”.

7. Środki ochrony

Środki dobieramy do ryzyka (art. 32 RODO). Przy serwisie informacyjnym są opisane w polityce prywatności: HTTPS, brak formularza, ograniczony dostęp do skrzynki. Przy powierzeniu, w zakresie uzgodnionym w umowie, stosujemy dodatkowo:

• rozdzielenie środowiska testowego od produkcyjnego klienta; test nie loguje się na produkcję,
• konto techniczne o uprawnieniach wyciętych do operacji, nie konto administratora,
• sekrety poza repozytorium, w magazynie CI,
• szyfrowanie transmisji (TLS) między jobem a endpointem,
• ograniczenie treści logu joba,
• upoważnienie osób, które dostają dostęp do repozytorium albo środowiska, i odebranie dostępu po zakończeniu prac,
• zakaz używania danych powierzonych poza poleceniem, w tym do trenowania modeli.

Nie deklarujemy certyfikacji ISO ani raportu SOC. Środkiem jest konfiguracja przebiegu i umowa, nie znak na stopce. Jeśli klient wymaga własnego standardu (na przykład konkretnego regionu hostingu), wpisujemy go w umowie przed startem prac, a nie przyjmujemy domyślnie.

8. Procedura realizacji praw

Żądanie dostępu, sprostowania, usunięcia, ograniczenia, przeniesienia albo sprzeciwu wyślij na adres z pkt 1. W tytule wpisz „Dane osobowe - KoneV Software”. W treści wskaż, którego prawa dotyczy żądanie i jak mamy Cię zidentyfikować (adres e-mail, z którego piszesz, wystarcza, jeśli to ten sam adres, którego sprawa dotyczy).

1. Potwierdzamy otrzymanie, gdy żądanie nie jest od razu możliwe do wykonania w tej samej odpowiedzi.
2. Jeśli mamy uzasadnioną wątpliwość co do tożsamości, prosimy o dodatkowe informacje konieczne do potwierdzenia. Nie prosimy o dokument tożsamości, jeśli wystarczy zgodność adresu i treści sprawy (art. 12 ust. 6 RODO).
3. Odpowiadamy bez zbędnej zwłoki, najpóźniej w terminie miesiąca od otrzymania żądania (art. 12 ust. 3 RODO).
4. Gdy żądanie jest skomplikowane albo gdy jest ich wiele, możemy przedłużyć termin o kolejne dwa miesiące. O przedłużeniu i o przyczynie informujemy w pierwszym miesiącu.
5. Jeśli żądania nie wykonujemy, informujemy o powodzie oraz o prawie wniesienia skargi do Prezesa UODO i o prawie do dochodzenia roszczeń przed sądem.
6. Pierwsza kopia danych w ramach prawa dostępu jest bezpłatna. Za kolejne kopie możemy pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych. To samo dotyczy żądań ewidentnie nieuzasadnionych lub nadmiernych (art. 12 ust. 5 i art. 15 ust. 3 RODO). Zamiast opłaty możemy odmówić działania wobec żądania nadmiernego. O wyborze informujemy.

Gdy żądanie dotyczy danych, których administratorem jest klient, a KoneV jest tylko procesorem, przekazujemy je klientowi bez zbędnej zwłoki i nie rozstrzygamy go we własnym imieniu, chyba że umowa powierzenia nakazuje inaczej. Osobie odpisujemy, do kogo ma skierować żądanie, jeśli potrafimy wskazać administratora bez ujawniania cudzych tajemnic.

Sprzeciw wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO można wnieść w dowolnym momencie. Po sprzeciwie zaprzestajemy przetwarzania, chyba że istnieją ważne, prawnie uzasadnione podstawy nadrzędne albo podstawy do roszczeń (art. 21 ust. 1 RODO).

9. Naruszenia ochrony danych

Naruszeniem jest złamanie bezpieczeństwa prowadzące do przypadkowego albo niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia albo nieuprawnionego dostępu do danych osobowych.

Gdy KoneV jest administratorem, zgłaszamy naruszenie Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w 72 godziny po stwierdzeniu, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw osób (art. 33 RODO). Jeśli ryzyko jest wysokie, zawiadamiamy także osoby, których dane dotyczą (art. 34 RODO).

Gdy KoneV jest procesorem, zgłaszamy naruszenie administratorowi (klientowi) bez zbędnej zwłoki po stwierdzeniu, razem z informacjami, które w tym momencie posiadamy (art. 33 ust. 2 RODO). Zgłoszenia do organu dokonuje wtedy administrator, chyba że umowa przenosi na nas czynności pomocnicze.

Informację o podejrzeniu naruszenia można przysłać na adres z pkt 1. Prosimy nie dołączać w tym mailu kolejnych sekretów ani pełnych zrzutów. Wystarczy opis: kiedy, który system, jaki rodzaj danych, czy dane wyszły poza organizację.

10. Organ nadzorczy

Organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa, https://uodo.gov.pl/. Skargę można wnieść niezależnie od wyczerpania procedury z pkt 8.

Dokumenty powiązane: polityka prywatności, kontakt, zakres, przy którym powierzenie jest typowe.